Rédaction BtoB leaders 
L’Autorité suédoise de protection des données (IMY), l’équivalent de la CNIL en France, a émis une mise en garde laconique à l’attention des entreprises sur l’utilisation de Google Analytics, en raison des risques potentiels de surveillance par le gouvernement américain. On fait le point !
La CNIL suédoise menace les sites web d’amendes
Le Règlement Général sur la Protection des Données (RGPD) est une législation de l’Union Européenne entrée en vigueur le 25 mai 2018 qui renforce et unifie la protection des données à caractère personnel des individus au sein de l’UE. Les sanctions pour non-conformité peuvent être sévères, atteignant jusqu’à 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, selon le montant le plus élevé… et l’utilisation de Google Analytics pourrait en faire partie, selon l’Autorité suédoise de protection des données (IMY) !
Rappelons que l’arrêt Schrems II rendu en 2020 par la Cour de Justice de l’Union Européenne, la plus haute juridiction européenne, avait invalidé le cadre de transfert de données Privacy Shield utilisé par Google Analytics. Rappelons également que la CNIL (française) avait mis en garde des administrateurs de sites web sur l’utilisation de Google Analytics.
L’enquête de l’IMY accable Google Analytics
L’enquête de l’IMY s’est concentrée sur quatre entreprises suédoises : CDON, Dagens Industri, Tele2 et Coop. Cette enquête a été lancée suite à une plainte déposée par le groupe de défense de la vie privée NOYB, alléguant que ces entités utilisaient Google Analytics.
Après examen du dossier, l’IMY a détecté des infractions aux exigences du RGPD en matière de consentement et de transfert de données. En conséquence, elle a infligé une amende de 30 000 dollars à CDON et de 1,1 million de dollars à Tele2, et a ordonné à tous les opérateurs, à l’exception de Dagens Industri, de cesser d’utiliser Analytics. En effet, le fait que les données collectées par Google Analytics transitent par des serveurs hors UE, en l’occurrence aux Etats-Unis, s’inscrit en violation du RPGD. Aussi, au Pays de l’Oncle Sam, les autorités fédérales ont un droit de regard sur ces données, ce qui s’inscrit là encore en violation du RGPD.
À ce stade, une question se pose : la CNIL française va-t-elle s’aligner sur son homologue suédoise et remettre le dossier Google Analytics sur la table ?
